Un troyano para Android, llamado BTMOB, fue detectado en campañas activas en Brasil, según un análisis detallado realizado por la empresa de seguridad ESET. El programa malicioso es capaz de tomar el control total del dispositivo de la víctima, realizando acciones remotas sin consentimiento. La detección inicial de Sua se produjo en febrero de 2025 y, desde entonces, el virus ha demostrado una evolución notable en términos de alcance y complejidad de operación.
Classificado como RAT, acrónimo de “troyano de acceso remoto”, BTMOB permite al atacante acceder y operar el teléfono celular infectado de forma remota, permaneciendo indetectable para el usuario. La funcionalidad Essa representa una amenaza significativa, ya que le da al delincuente una amplia capacidad para explotar los datos y funciones del dispositivo. La flexibilidad de control de BTMOB lo distingue de muchos programas maliciosos financieros específicos, lo que aumenta su potencial de daño.
Como o BTMOB Rat infecta dispositivos
El proceso de infección BTMOB comienza con la difusión de enlaces a sitios web falsos, que a menudo simulan plataformas de streaming o servicios de criptomonedas conocidas. Al hacer clic en estas direcciones, los usuarios son redirigidos a tiendas de aplicaciones falsas diseñadas para parecerse visualmente a Google Play Store. En las páginas fraudulentas de Nessas, se engaña a la víctima para que instale una aplicación maliciosa, momento en el que el virus se introduce en el dispositivo Android.
Instalación inicial de Após, BTMOB solicita acceso a Serviços desde Acessibilidade desde Android. El virus aprovecha maliciosamente el permiso Essa, desarrollado originalmente para ayudar a las personas con discapacidades a utilizar teléfonos móviles. Al obtener este acceso, BTMOB puede aumentar sus permisos en el sistema e instalarse más profundamente, sin requerir ninguna intervención adicional por parte del usuario para continuar su operación.
Controle remoto y robo de datos después de la infección
Una vez instalado y concedido los permisos, BTMOB demuestra una amplia gama de capacidades maliciosas dentro del dispositivo infectado. El virus puede extraer datos confidenciales, capturar pantallas en tiempo real y registrar la actividad del usuario, proporcionando información valiosa a los delincuentes. Além también permite al atacante operar el teléfono celular de forma remota, ejecutando comandos y controlando funciones como si fuera el propio propietario.
El nivel de control de Este significa que se pueden ver las contraseñas, se puede acceder a las aplicaciones bancarias y se pueden enviar mensajes en nombre de la víctima sin su conocimiento. La amplitud de funcionalidades de BTMOB lo convierte en un virus más versátil y peligroso, ya que no se limita a un tipo concreto de robo, sino que se trata de un control total del dispositivo y de toda la información contenida en el mismo.
Modelo “Malware-as-a-Service” facilita el acceso
BTMOB se vende bajo el modelo MaaS, o “malware como servicio”, lo que permite que personas sin conocimientos técnicos de programación lo adquieran y utilicen. El modelo de negocio Esse facilita la proliferación de estafas al hacer que la herramienta sea accesible a una audiencia más amplia de delincuentes. La plataforma incluye una interfaz para crear nuevas aplicaciones maliciosas y adaptar campañas para diferentes países y públicos objetivo.
Una licencia de por vida para BTMOB cuesta aproximadamente $5,000, con la adición de una tarifa mensual por soporte técnico. En enero de 2026, los archivos BTMOB incluso se ofrecieron de forma gratuita en un foro de la web oscura, antes de que se desactivara el servicio. El malware se promociona activamente en canales abiertos de Internet, incluidas páginas promocionales y perfiles en redes sociales como X y Instagram, que dirigen a los compradores potenciales a un operador a través de Telegram.
Campanhas detectado en América Latina
Security Pesquisadores ya ha registrado campañas BTMOB en América Latina, con casos notables en Argentina. En los incidentes Nesses, el virus fue adaptado para hacerse pasar por organismos gubernamentales argentinos, como autoridades tributarias y aduaneras. La imitación de la identidad visual de estas instituciones tiene como objetivo aumentar la credibilidad de las estafas, engañando a los usuarios locales para que instalen la aplicación maliciosa.
ESET identifica la versión principal del virus como MSIL/BtmobRat, mientras que sus variantes para Android se clasifican como Android/Spy.Agent.EED, Android/Spy.Agent.EIJ y Android/Spy.Agent.EIK. En febrero de 2025, la empresa Cyble informó del descubrimiento de alrededor de 15 muestras de la versión 2.5 del virus en sólo dos semanas, poniendo de relieve la actividad y rápida propagación del malware.
Medidas protección y prevención de virus
La principal recomendación para evitar la infección por BTMOB es descargar aplicaciones exclusivamente a través de la tienda oficial Google Play. Sites que ofrecen APK fuera de esta plataforma son los principales puntos de entrada de virus y otras amenazas digitales. La precaución al instalar aplicaciones de fuentes desconocidas es esencial para la seguridad del dispositivo.
Es fundamental tener cuidado con los enlaces recibidos por correo electrónico, aplicaciones de mensajería como WhatsApp, redes sociales o anuncios en línea, incluso si parecen provenir de fuentes legítimas. El uso continuo de una aplicación de seguridad en su teléfono puede ayudar a detectar y neutralizar amenazas antes de que causen daño. Empresas y las organizaciones deben implementar y hacer cumplir políticas de ciberseguridad, educando a sus empleados sobre las precauciones necesarias, ya que una sola descarga maliciosa puede comprometer datos corporativos confidenciales.
- Aplicaciones Baixar solo del Google Play oficial.
- Desconfiar de enlaces y archivos adjuntos sospechosos a través de correo electrónico, WhatsApp o redes sociales.
- Manter una aplicación de seguridad actualizada en celulares.
- Verificar los permisos que solicitan las nuevas aplicaciones antes de concederlos.
- Empleados de Orientar sobre las mejores prácticas de ciberseguridad para proteger los datos corporativos.
El conocimiento de los riesgos y la adopción de medidas preventivas son fundamentales para proteger la información personal y profesional frente a amenazas como BTMOB Rat. La vigilancia constante y la actualización del software de seguridad son la línea de defensa más eficaz contra estos ataques sofisticados.